Internes Dashboard für über 200 Nutzer mit RBAC und SAP-S/4HANA-Integration, Next.js + Microsoft Entra ID SSO. Die wöchentliche KPI-Berichterstellung sank von 6 Stunden auf 0.
Hintergrund
Der Kunde ist eine ungarische Organisation des öffentlichen Sektors mit über 1500 Mitarbeitenden und komplexen internen Datenflüssen. SAP S/4HANA ist das zentrale ERP-System, ergänzt durch mehrere Legacy-Systeme (ein Oracle-basiertes Dokumentenarchiv, ein individuelles Workflow-Tool und eine Excel-basierte KPI-Erfassung).
Mittlere Führungskräfte erhielten wöchentliche und monatliche KPI-Berichte, die von Hand erstellt wurden: Support-Mitarbeitende exportierten aus SAP nach Excel, formatierten und stellten daraus PowerPoint-Präsentationen zusammen. Teamübergreifend kostete das 6–8 Stunden pro Woche, und die Berichte hinkten stets 1–2 Tage hinterher.
Herausforderung
Zwei zentrale Herausforderungen. (1) Compliance: Die Organisation arbeitet nach ISO 27001, jede Datenbewegung und jede Nutzeraktion muss nachvollziehbar sein. Der bestehende Ablauf SAP-Export-zu-Excel war akzeptabel, weil er manuell war — ein automatisiertes System benötigte eine ebenso strenge Audit-Log-Logik. (2) RBAC: Über 200 Nutzer verteilt auf 8 funktionale Rollen mit unterschiedlichem Datenzugriff. Die Datenzugriffsrichtlinie ist streng: Jede Rolle darf nur Daten für bestimmte Organisationseinheiten einsehen.
Die technische Herausforderung war kleiner als die prozessuale. Der sechswöchige interne Freigabezyklus der IT-Abteilung für jede Konfigurationsänderung war ein Hindernis.
Vorgehen
Gestaffelter Rollout: Pilot mit 2 funktionalen Rollen (25 Nutzer), dann 4 Wochen später 3 weitere Rollen, schließlich alle 8 Rollen.
Die Analysephase investierte 4 Wochen in die RBAC-Matrix und die Compliance-Anforderungen. Alles musste schriftlich festgehalten und vom internen Audit-Team des Kunden abgezeichnet werden. Eine langsame Phase durch die Einbindung der IT, aber unvermeidbar — ein schlecht konzipiertes RBAC hätte später 2–3 Monate Refactoring bedeutet.
Lösung
Das Dashboard ist mit Next.js + TypeScript und Tailwind UI gebaut. Hauptkomponenten: (1) Authentifizierung über Microsoft Entra ID SSO, mit Rollenauflösung basierend auf der bestehenden AD-Mitgliedschaft. (2) KPI-Kacheln in einem organischen Raster, per Rolle drag-and-drop konfigurierbar. (3) Eine aus einer Kachel öffenbare Drill-down-Ansicht (Quelldaten in Tabellenform, exportierbar). (4) Eine Audit-Log-Ansicht (Admin-Rolle), die jeden Datenzugriff protokolliert.
Das Backend besitzt eine flexible Datenquellen-Konfiguration: Hauptquelle sind die SAP-S/4HANA-OData-Dienste, ergänzt um das Oracle-Dokumentenarchiv über REST und einige teamspezifische Postgres-Datenbanken. Eine Aggregator-Schicht führt geplante Aktualisierungen aus (TTL von 5 Minuten bis 1 Stunde je nach Datentyp). Das Audit-Log liegt in einer separaten Postgres-Datenbank, unveränderlich und nur anfügbar.
Technische Entscheidungen
Microsoft Entra ID SSO: keine Wahl, sondern von der Compliance des Kunden vorgeschrieben. NextAuth bildet die Brückenschicht und setzt Berechtigungen auf Rollenebene über JWT-Claims durch.
Next.js vs. SAP UI5 / Fiori: Fiori wurde vom CIO klar abgelehnt („wir kaufen jetzt Build-Tools, keine Anpassung an das Kernsystem-Paradigma“). Next.js ist der hauseigene Stack, der Entwicklungszyklus ist flexibler, und die Integration mit Nicht-SAP-Systemen ist einfacher.
Separate Audit-Log-Datenbank: Diese Lösung bewahrt die Integrität des Audit-Logs selbst dann, wenn die Hauptdatenbank kompromittiert wird. PostgreSQL mit rollenbeschränktem Nur-Anfügen und täglichen Backups.
Stolpersteine
Erste Hürde: die Freigabezyklen der IT-Abteilung. Jede Änderung an der Entra-ID-Konfiguration dauerte 4–6 Wochen. Lösung: In den ersten Wochen baten wir um einen eigenen Test-Tenant, in dem wir alles selbst konfigurierten, und wechselten erst zum Cutover in die Produktivumgebung. Das sparte 3 Wochen.
Zweitens: die Komplexität der RBAC-Matrix. Die ursprünglich 8 Rollen wuchsen während der Umsetzung auf 12, weil manche Rollen Unterrollen hatten. Wir haben refaktoriert: das Konzept des „Berechtigungssatzes“ eingeführt, den eine Rolle erbt. Jetzt 8 Rollen + 24 Berechtigungssätze, was besser skaliert.
Drittens: die SAP-OData-Performance zu Spitzenzeiten. Die KPI-Aktualisierung um 8–9 Uhr traf über 200 Nutzer gleichzeitig, und die OData-Dienste drosselten. Wir fügten in den Aggregator eine „Pre-warm-Cache“-Schicht ein: Die meistabgefragten KPIs werden bereits um 7:45 Uhr vorab aggregiert.
Ergebnisse
Sechs Monate nach Go-live: 200 Nutzer aktiv (215 gegenüber den geplanten 200+). Die wöchentliche KPI-Berichterstellung sank von 6–8 Stunden auf 0 (der Bericht generiert sich jetzt automatisch aus dem Dashboard). Mittlere Führungskräfte sehen KPIs in Echtzeit statt mit 1–2 Tagen Verzögerung.
Das Audit-Log deckt 100 % der Zugriffe ab. Das interne ISO-27001-Audit wurde bestanden; der externe Auditor hob den Audit-Log-Mechanismus ausdrücklich hervor. Vorfälle bei der Datengenauigkeit (fehlerhaft exportierte Excel-Berichte) sanken um 91 % gegenüber dem Ausgangswert (von 8–10 monatlich auf 0–1).
Stack
18 Wochen sind lang, aber niemand hat das Gefühl, dass ihm das System 'aufgezwungen' wurde. Die 4 Wochen Analysephase waren zeitaufwendig, aber im Nachhinein liegt genau darin der Grund für den Erfolg.
Verwaltungsdirektor — Organisation des öffentlichen Sektors
Das Zitat steht stellvertretend für typisches Kundenfeedback; es handelt sich nicht um ein wörtliches Zitat.
Weitere
Wir haben bei einem mitteleuropäischen Logistikunternehmen 4–6 tägliche Stunden manueller Excel-Übertragungen eliminiert: REST/OData-Schnittstellen aus SAP ERP und eine Next.js-Admin-Oberfläche für das Tagesgeschäft. Das Backoffice-Team gewann 3 Vollzeitstellen für andere Aufgaben zurück.
Details lesenEine React-Native-Cross-Plattform-App mit Terminbuchung, Download von Laborergebnissen und Push-Benachrichtigungen. 60 % der Termine erfolgen inzwischen über die App, die Callcenter-Auslastung sank um 24 %.
Details lesenDie Case Studies basieren auf realen Projekten und wurden auf Wunsch unserer Kunden anonymisiert. Die Zahlen sind Näherungswerte; konkrete Geschäftsdaten bleiben vertraulich.